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PROCEDE DE DETECTION DE MODIFICATIONS ILLICITES DES 
LOGICIELS CONSTRUCTEURS 

L'Invention concerne notamment un proced^ permettant de 
dStecter des modifications el/ou d'^viter la modification de logiciels 
constmcteurs pour mobile GSM (abr6viation anglo-saxonne de Global 
System Mobile), logiciels embarques dans une m§moire reprogrammable. 

Elle concerne aussi tout systeme comportant un noyau dur 
(hardware non modifiable se presentant sous la forme d'un ASIC par 
exemple) et un noyau mou (comprenant des fonctions de s6curite 
programmables), par exemple un ordinateur de type PC comprenant un 
ASIC non reprogrammable et un systeme d'exploltation. 



Les terminaux mobiles GSM sont reprogrammables afin de 
pouvoir faire ^voluer les versions logicielles des services offerts aux 
utilisateurs. Actuellement, I'accds aux fonctions de reprogrammation n'est 
pas suffisamment securise et certains utilisateurs parviennent facilement k 
15 effectuer des modifications logicielles afin d'outrepasser les fonctions de 
securite int§grees par les constructeurs. De -^ce fait, ils falsifient le 
fonctionnement des terminaux afin d'acc6der a des fonctions ou des services 
suppl6mentaires ou de r§utiliser des terminaux vol§s. 

Les moyens de protection actuels centre les modifications IHIcites 
20 de logiciels sont insufflsants. Les pirates parviennent assez rapidement k 
trouver les adresses des m6moires programmables k modifier, pour 
neutrallser ou contoumer les m6canlsmes de s6curit6 mis en place par les 
constmcteurs. L'objectif des « pirates* est d'autoriser, sans palement, 
racc6s aux services supplementaires potentiellement disponibles et 
25 d'outrepasser les contrdles d'acces. 

Les modifications sont realisables via de multiples canaux (UART 
ou Universal Asynchronous Receiver/Transmitter, USB ou Universal Serial 
Bus, JTAG ou Joint Test Action Group,....) ou par modification directe sur la 
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m6moire reprogrammable ou FEPROM (Flash Erasable Programmable Read 
Only Memory), par atteinte a nntegrite materielle par de soudage - re 

soudage, par example. 

Le mode actuel de d6marrage d'un terminal GSM en mode auto- 
5 configuration, par detection de signaux sp6cifiques, est un m6canisme faible 
qui n'offre pas de protection solide. 

L'invention concerne un precede pemriettant de d§tecter et/ou 
rfev'rter la modification de logiciels embarques dans une m6moire 
programmable au sein d'un systeme comprenant un noyau dur contenant 
10 des fonctions de s6curit§ mal§rielle adaptees k verifier l'int§grite notamment 
d'un noyau mou comprenant une m6moire programmable, le systeme 
comportant une interface locale de donnees. II est caracleris6 en ce qu'il 
comporte au moins les §lapes sulvantes : 

A1 - le signal regu sur Hnterface locale de donnees n'est pas valide, mettre 
1 5 le systeme dans un 6tal non op6rationnel, 

B1 - le signal regu est un signal de d6connexion sur Hnterface locale de 
donnees, ou il n'y a pas de signal, lancer une procedure de d§marrage 
s6curise, avec ex6cution des fonctions de contr6le : 
Autotest du noyau dur : 
20 • Si rautotest est OK, alors tester nntegrite de la memoire 
reprogrammable, 

o Si cette integrity est OK. alors activer le systdme pour un 

fonctionnement nonmal 
o Si cette int6grit§ est KO, alors mettre le systeme dans un etat 

25 non op§rationnel 

. Si rautotest est KO, alors mettre le systdme dans un §tat non 
operationnel, 

CI - le signal regu est un signal de demarrage valide, 

• Si le systeme est dans un mode de developpement, le rendre 
30 operationnel, 
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• Si le systeme est dans un mode d'exploitation operationnelie et si le 
signal est un signal de test, alors desactiver au moins une des 
fonctions essentielles du fonctionnement operationnel. 

L'invention concerne aussi un precede permettant de detecter 
5 et/ou d'eviter des modifications illicites d'un logiciel cx)nstructeur au sein d'un 
syst6me de type GSM, comprenant un noyau dur et un noyau mou, une 
interface locale de donnees, caracterise en ce qu'il comporte au moins les 
etapes suivantes : 

A2 - le signal regu sur Tinterface locale de donn6es du terminal n'est pas 
10 valide, mettre le terminal GSM dans un 6tat non op6rationnel, 

B2 - le signal est un signal de d^connexion sur llnterface locale de donn§es 

ou il n'y a pas de signal, lancer une procedure de d^marrage s6curis§, avec 

execution des fonctions de contrdle : 

Autotest du noyau dur 
15 • Si Tautotest est OK, alors tester rintegrit6 du noyau mou 

• Si cette integrite est OK, alors activer le temninal pour un 
fonctionnement normal, 

• Si rintegrlte est KO, alors mettre le terminal dans un etat 
' non op6rationnel, 

20 • Si I'autotest est KO, alors mettre le tenninal GSM dans un §tat non 
operationnel. 

02 - le signal re$u est un signal de d^marrage valide : 

• Si le fusible est non claque, rendre le terminal GSM operationnel, 

• Si le fusible est claqu§, rendre le terminal non totalement operationnel, 
25 en desactivant au moins une des fonctions op6rationnelles du 

terminal : 

o Si le signal est un signal de type test JTAG, poursuivre la 

procedure de test, 
o Si le signal est un signal de test, d§marrer en mode non 
30 3^curis§ et poursuivre la procedure de test. 



wo 2005/069591 



4 



PCT/EP2004/053523 



Uechange des donn6es errtre le noyau dur et le noyau mou est 
par exemple effectu6 en utilisant un algorithme base sur le principe de non- 
rejeu et de non predictibifite des donnees transmises. 

Linvention conceme aussi un systdme permettant de detecter 
5 et/ou d'eviter la modification de logiciels embarqu6s dans une memoire 
programmable comprenant un noyau dur contenant des fonctions de s6curit6 
materielle et un noyau mou comprenant une m6moire programmable, une 
interface locale de donnees apte a recevoir des signaux. II est caractdrise en 
ce qu'il comporte des moyens adapt6s k : 
10 > mettre le systfeme dans un 6tat non op§rationnel lorsque le signal regu 
sur une interface locale de donnees n'est pas valide, 

> pour un signal regu de d6connexion ou absence de signal sur une 
interface locale de donn6es, lancer une procedure de d§marrage 
s6curis6, avec execution de fonctions de contrSle : 

15 Autotest du noyau dur : 

• Si I'autotest est OK, alors tester rint6grit6 de la memoire 

programmsJDie, 

o Si cette int6grit6 est OK, alors activer le systdme pour un 
foncBonnement normal 
20 o Si cette integrite est KO, alors mettre le systeme dans un etat 

non op^ratlonnel 

• Si I'autotest est KO, alors mettre le systeme dans un etat non 
op^rationnel, 

> Pour un signal regu est un signal de d6manrage valide, 

25 . Si le systdme est dans un mode de d6veloppement, le rendre 
op6rationnel 

• Si le systeme est dans un mode d'exploitation operationnelle, et si le 
signal est un signal test alors d6sactiver une des fonctions 
essentielles du fonclionnement operationnel au demanrage. 

30 

Le systeme peut comporter des moyens de s6curisation des 
echanges de donnees entre le noyau dur et le noyau mou. 
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Le systeme peut gtre un terminal GSM ou un micro-ordinateur de 
type PC ou un lecteur de type MP3 contenant une m§moire reprogrammable. 

Le proc^6 selon {'invention pr^sente notamment les avantages 
5 suivants. II tient compte du processus industriel de production, de 
commercialisation et de maintenance. L'adaptation des principes d'integrite 
(au sens authenticite : origine et integrite), des logiciels et donnees 
reprogrammables est repartie sur des dispositifs mat§riels integr^s dans un 
ASIC garantissant la non modification des mecanismes de contrdle, associes 
10 4 des dispositifs de s^curite logiciels adaptables aux dlffdrentes versions 
logicieiles de terminaux GSM par exemple. 



D'autres caract^ristiques et avantages de I'lnvention apparaTtront 
mieux k la lecture de la description d'un exemple donnd S titre lllustratif et 
15 nullement limitatif annexe des figures qui repr^sentent : 

• La figure 1 les composantes fonctionnelles d'un terminal mobile GSM 
ayant un impact sur la securite d'acces, 

• La figure 2 la structure de la FEPROM, 

• La figure 3 trois niveaux de s6curlt6 considdres lors du d^man'age du 
20 GSM, 

• La figure 4 un schema de la logique de I'ensemble, 

• La figure 5 un exemple d'^changes s^curis^s entre composants du 
terminal GSM sans secret partag§. 

25 Afin de mieux faire comprendre le principe du proc6d6 selon 

I'invention, I'exemple qui suit est donne pour un systeme GSM dont 
i'architecture est rappel^e a la figure 1 . 

Cette figure 1 repr6sente I'architecture fonctionnelle d'un terminal 
GSM structure en plusieurs modules. Seuls les modules ayant un impact sur 

30 la s^rit6 sont repr^sentSs sur cette figure et sent pris en compte pour la 
description. On distingue une composante materielle comprenant le noyau 
dur et une composante logicielle comprenant le noyau mou. Le noyau dur 
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correspond aux fonctions de s6curit6 materielles qui permettent de verifier 
rint§grit6 du terminal lors d'un d6marrage normal ou de rendre non- 
op6rallonnel le terminal GSM dans tout autre mode de fonclionnement. Le 
noyau mou integre les fonctions de sdcurite logicielles qui assurent la 

5 s§curite du code charg6 en FEPROM. Le noyau mou est sign§ hors figne par 
une cle secrete, et sa signature est verifiee lors du d§manrage NORMAL par 
le noyau dur. En cas de compromission constatee de I'integrit^ du terminal 
GSM (perte de nnt6grit§ du noyau mou), le terminal devient non-op§rationnel 
pour tout mode de d^man-age jusqu'^ ce qu'un nouveau noyau mou intdgre 

10 soit t6l6charg6 dans le terminal. 

Les deux modules pris en compte dans la suite de la description 

sont : 

la composante materielle comprenant : 

• Le module ECOUTE_SIGNAL ; 

15 • Le module DESACTIVATION.FONCTION ; 

• Le module DEMARRAGE ; 

• Le module NOYAU_DUR ou module de securite materielle. 
la composante logicielle comprenant : 

• Le module NOYAU_MOU ; ou module de security logicielle ; 
20 • Le module APPLICATIONS. 

Le module APPLICATIONS de la composante logicielle est 
partiellement s6curis6. II depend 6troitement de la politique de s6curit6 
choisie par le constructeur. 

Ces deux composantes sont d6taill6es dans la suite de la description. 
25 La description adopte la terminologie suivante : 

VAR : une variable ou un §tat non soulign§ traduit son caractere ACTIF ; 
VAR : une variable ou un 6tat soulign6 traduit une NEGATION de son 
caract§re ACTIF. 

30 ComposantematSrielle 
NOYAUJDUR 
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Le noyau dur contient les m^canismes de s6curit4 materiels qui 
permettent de verifier son bon fonctionnement et l'int§grit§ du noyau mou et 
les m^nismes qui permettent de d^finir la politique de s^curit^ k appliquer 
en fonction du mode de d^marrage (JTAG, AUTRE, NORMAL), et ia phase 
5 de fonctionnement du terminal, ASIC avec bit claqu§ ou non. 

Vu de la securite, les fonction nalites couvertes par les differents 
modules de la composante materielle sent implementees en deux versions 
de composants : 

Le Composant FUSIBLE NON CLAQUE (aucune activation de 
10 m^canismes de s^urite) qui utilise les modules suivants : 

• ECOUTE_SIGNAL 

• FUSIBLE 

• DEMARRAGE non securis§ 

Le Composant FUSIBLE CLAQUE qui comporte deux modes de 
15 fonctionnement selon la detection ou non d'un signal au d^marrage du 
terminal (Module ECOUTE_SIGNAL) (signal observ6 au niveau de I'interface 
locale de donnees du terminal GSM) 

• Absence de signal : mode de d^marrage s§curis§ (le terminal est 
op^rationnel) 

20 ECOUTE_SIGNAL 
FUSIBLE 

DEMARRAGE (SECURISE) 

• R^ption d'un signal au niveau de llnterface locale de donndes du 
terminal GSM : activation de ia fonction SPLIT (inhibition d'une 

25 fonction essentielle rendant le tenninal non op§rationnel) 

ECOUTE_SIGNAL 
FUSIBLE 

DESACTIVATION_FONCTION (ou SPLIT) 
DEMARRAGE (NON-SECURISE) 
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Module ECOUTE_SIGNAL 

Ce module permet de connaTtre le type de signal regu au niveau de 
I'interface locale de donn6es du tenninal GSM. II peut s'agir d'un signal de 
5 type : 

• JTAG : mode de demarrage de test oD Ta composante d'amorgage du 
syst^me ou en anglo-saxon BOOT n'est pas reveillee. la partie 
security n'est done pas activee, 

• NORMAL : mode de fonctionnement nominal (aucun signal regu au 
10 d6marrage du terminal) oii la security est syst§matiquement activee 

lorsque le bit est claqu6, 

• REDEMARRAGE: reinitialisation du systeme dans un etat stable 
avant red§marrage k froid avec des paramelres pred6finis, 

• AUTRE : mode de d6marrage correspondant a divers modes de TEST 
oil la composante BOOT est reveill§e mais la partie s6curit6 n'est pas 
activee. 



15 



U reception d'un signal sur I'interface locale de donn^es du 
terminal GSM doit conduire a basculer syst6matiquement le termirfal dans un 
20 mode non op6rationnel si le fusible est claqu6. avec une d^sacBvation du 
clavier, du son ou d'une fonction essentielle par exemple. 
MODULE DESACTIVATION_FONCTION (ou SPLIT) 

Ce module pemiet de rendre le terminal non op6ralionnel par 
desactivation d'une fonction essentielle au fonctionnement du temiinal GSM, 
25 par exemple le clavier, le son ou autre. Ce module est appel6 MODULE 
SPLIT dans un souci de simplification des figures. 



MODULE FUSIBLE 

Ce module permet de tester I'etat du fusible qui correspond : 
NON CLAQUE, au mode de d6veloppement avant vente (developpement, 
d6bogage...), avec I'utillsation de la version ASIC comportant un fusible non 
claqu§. 
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CLAQUE au mode d'exploHation du terminal GSM, apres mise dans le circuit 
de vente, avec rutilisation de ia version ASIC comportant un fusible claque. 

MODULE DEMARRAGE 
5 Ce module a notamment pour fonction d'activer la politique de 

s6curite en fonction du type de d6marrage sollicite et permet d'appliquer la 
politique de security selon r§tat du fusible et la presence ou non d'un signal. 

MODULES PILOTES 
10 Ce module permet de charger les pilotes FLASH, de gestion des 

E/S, afin de lire, ecrire et executer en FEPROM. Les modules Hardware 
ECOUTE_SIGNAL et FUSIBLE^CLAQUE sent enfouis dans le composant 
ASIC, il n'est pas possible d'ecouter ou interceptor les flux echang§s entre 
les deux composantes. 

15 

Composante logicielle 

La figure 2 repr6sente ia structure de la FEPROM (abreviation 

anglo-saxonne de Hash Programmable Read Only Memory) et son 

interaction avec le noyau dur. 
20 MODULE NOYAUJMOU 

Le noyau mou est une surcouche applicative qui assure 

notamment la securite des applications et des donnees sensibles 

referenc^es dans ia liste des elements sensibles a prot^ger. Les 

m^canismes de security du noyau mou sont mis en oeuvre au niveau de la 
25 FEPROM apres ex6cution du noyau dur. 

l-a modification du noyau mou n^cessite une phase de 

t^lSchargement d'un nouveau noyau mou sign§ afin que ce dernier soit 

reconnu comme valable au niveau du noyau dur. 

MODULE APPLICATIONS 
30 Ce module peut disposer de mecanismes de securite, repartis 

dans rensemble du code contenu en FEPROM, dont Tobjectif principal est de 

detecter toute modification intempestive de i'integrite du code sensible 
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surveill6. Les m6canismes de securite de ce module sont spedfiques des 
fonctions constructeur int6gr6es en FEPROM. 

L'id6e de Hnvention repose notamment sur le controle du 

5 t^lechargement de logiciels dans la FEPROM. Cette s6curisation est basee 
sur un contr6le d'authenticit§ et dlntegrit^ des logiciels ^ tel6charger. 

Pour cela, le proced§ prend en compte le cycle de vie complet des 
terminaux. Ce cycle de vie correspond aux phases de developpement 
mat§riels et logiciels, integration, tests, validation, mise en service, 

10 exploitation, tests d'investigation en cas de dysfonctionnement, retour en 
maintenance avec possibint6 d'effectuer des modifications directes du code 
logiciel ou patchs, pour permettre de tester et de valider les corrections 
d'enreursou I'int^gration d'6volutions. 

Une partle des m6canismes proposes dans le proc6d6 selon 

15 {'invention est bas6e sur rutilisaton de m6canismes de signature utifisant un 
algorithme de Hash et de chiffrement asym§trique. Ceci permet notamment 
de ne pas §tre contraint par la divulgation inopin§e d'information secrete. En 
effet, seul le signataire poss^e la cl6 secrete, la cl6 permettant les contrdles 
d'authenticit6 et d'int6grit6 est une cl§ pubfique. 

20 Cette operation de signature est effectu§e, par exemple, apres 

validation des logiciels sur une station d§diee avant diffusion des logiciels a 
t6l6charger. Seule cette station aura la connaissance de la cl6 secrdte de 
signature. Cette station aura 6galement la capacit6 de g6n6rer les paires de 
cl6s asymdtriques en cas de besoin de renouvellement des cl§s. 

25 Le proc6d6 selon I'invention concerne les m6canismes de s6curit6 

mat6rielle pris en consideration k la conception du terminal mobile et aussi 
les m6canismes de s6curit6 a ajouter au niveau de la couche logicielle du 
terminal. 

Dans la suite, de la description on fait intervenir deux modes de 

30 fonctionnement : 

I ft Mode NORMAL : ce mode permet d'activer les procedures de d§man-age 
de I'ASIC du terminal GSM et de rendre op6rationnel le terminal GSM, 
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Le Mode TEST : ce mode permet potentiellement d'outrepasser les 
procedures de d§marrage de I'ASIC (par exemple en utilisant llnterface 
JTAG) et de lire eVou d'^rire directement en FEPROM. 
II est pr^vu deux 6tats de fonctionnement pour la mlse en service des 
5 mecanismes de s6curite selon I'etat du fusible d6crit ci-apres. L'etat du 
fusible correspond a une version d'ASIC specifique. 

La figure 3 sclidmatise differents niveaux de securite qui seront 
det^lles a la figure 4 du scliema de logique d'ensemble. 
10 Trois cas sont a considdrer lors du d6man-age du tenninal, figure 3 : 
Fusible non claqu§, avec ou sans signal 

Ce cas concerne tout type de d^marrage avec ou sans signal dds lors que le 

fusible est daqu^ ; les m^nismes de s^uritS ne sont pas actives 

Signal et Fusible claque 
15 Ce cas met en ceuvre I'activation de la foncbon SPLIT 

Pas de signal et Fusible claque 

Le d^marrage est securise 

Pas de signal et fusible non claqu6 

Le d^marrage n'est pas s6curise 
20 La figure 4 d^taille les differentes etapes mises en ceuvre par le 

proc^e selon I'invenlion. 

Le terminal GSM ^tant dans un 6tat ^teint, le proc^§ v^rifie s'il 

regoit un signal sur i'interface locale de donn^es (signal externe par 

opposition k I'allumage habitual du GSM). 

25 

A2 - Dans le cas oil le signal regu n'est pas valide, alors le proc^6 bascule 
le terminal GSM dans un etat non operationnel (action = extinction). 
B2 - Dans le cas ou le terminal GSM ne regoit pas de signal ou regoit un 
signal de d6connexion sur ['interface locale de donnees, on se trouve dans le 
30 mode NORMAL-^ allumage en mode d'exploitation normal. Le precede lance 
alors la procedure de demarrage securise, (toutes les procedures de s6curite 
integr^es sont activ6es normalement, en cas d'atteinte constatee de perte en 
integrite du systeme, le terminal n'est plus operationnel) 
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Aprds allumage, le precede execute ensuite les fonctions de contr6le : 
Autotest du noyau dur : 

• Si I'autotest est OK, alors on teste l'integtit§ du noyau mou 

• Si cettG int6grit6 est OK, alors le terminal peut §tre active 
5 pour un fonctionnement normal, 

• Si I'integrite est KO, alors le systeme GSM est mis en etat 
non operationnel. 

Dans ce mode, le terminal est apte a detecter une intrusion at done a 
r6agir k toute modification des zones sensibles. Dans le cas de la 
10 detection de perte d1nt6grit§ du noyau mou, le terminal GSM execute les 
foncQons de defense pr6vues. 

• Si I'autotest du noyau dur est KO, alors le terminal GSM est mis dans 
un 6tat non operationnel. 

C2 - Dans le cas ou le terminal GSM regoit un signal de d6marrage valide 
15 alors le proc6d6 execute les 6tapes suivantes : 

• Le fusible est non claqu6, Auto-configuration NON CLAQUE, aucune 
fonction de s6curit6 n'est mise en oeuvre, le systeme est rendu 
op6rationnel (6tat allum6, attente action). 

• Le fusible est claqu6. Auto-configuration GLAQOe, le terminal est 
20 rendu non totalement operationnel en utilisant une fonction de SPLIT, 

alors 

o SI le signal est un signal JTAG, on d6sactive le clavier ou 

r^ran, avant de poursuivre la procedure de test, 
o Si le signal est un autre signal de test valide, on d6sactive le 
25 clavier ou I'ecran, et on lance une procedure de d6marrage non 

s6curisee avant de poursuivre la procedure de test, 
Ces deux modes de d§sactivation complementaires et disjoints 
permettent notamment de d6rouler tous les scenarios de tests sans que le 
terminal ne soit completement operationnel. 
30 II est possible, par example, de d6finir un mode de desactivation 

oD une interface utilisateur serait d6portee du terminal GSM. 
Par exemple, pour une interface clavier : 
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• Mode test 1 : le terminal est op6rationnel mais le clavier est Inactif. Ce 
mode requiert I'ajout d'un clavier d^porte sur la machine test. 

• Mode test 2 : le clavier est op^ratlonnel - la voie radio ou toute autre 
fonction est inactive. 

5 

La figure 5 schematise les principes de s6curisation des 6changes 
de message entre les modules du terminal GSM. 

La securisation des echanges de donnees est par exemple i^6e 
sur les principes de non-rejeu des donnees transmises et de non pr^dictibirite 

1 0 des donnees dynamiques. 

II peut etre envlsageable d'impl6menter I'un ou I'autre des 
m6canismes au niveau du terminal GSM. L'ajout d'une donn6e dynamique 
(valeur temporelle ou pseudo-al6a) pour rendre dynamiques les ^changes de 
messages afin de limiter toute tentative de rejeu d'un flux intercepte ou 

15 d'utilisation de logiciels pirates. 

Le composant A peut §tre I'ASIC (oD il y a le NOYAU DUR) et le composant 
B peut 6tre la FEEPROM (oD il y a le NOYAU MOU). Les echanges entre A 
et B sont alors prot^g^s par le processus d6crit sur la figure 5. SHA 
represente une fonction de "hachage", XOR Correspond k une operation "ou 

20 exclusir, DYN correspond k une chaine al§atoire. 



Les messages 6changSs sont par exemple les suivants : 
1/ G§n6rateur de donn§es dynamiques (horioge, pseudo-al§a) -> DYN 
25 De I'ASIC A vers la FEPROM 
2/ Envoi de DYN 

3/ MSG1=SHA(DYN regu) XOR Question) 
de la FEPROM B vers I'ASIC A 
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4/ Envoi de MSGi 

5/ Question regue = SHA(DYN) XOR(MSGl ) 
6/ Verification de la s§mantique de la question regue 
71 MSG2 = SHA(Question regue. DYN) XOR REPONSE 
5 de I'ASIC A vers la FEPROM B 
8/ Envoi de MSG2 

9/ REPONSE_RECUE = MSG2 XOR SHA(Questfo/7, DYN regu) 

Sans sortir du cadre de I'invention, le proc6de s'applique aussi 
10 pour d6tecter et/ou §viter les modifications illicites au sein d'un systeme de 
type PC, comprenant un ASIC, (hardware non modifiable) et un espace 
memoire comprenant une couche logicielle a proteger. 

Le proc6d§ s'applique aussi dans un lecteur de type MP3 
contenant une m6moire reprogrammable, tels que les lecteurs MPS de type 
15 cle USB. 
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REVENDICATIONS 

1 - Procede permettant de detecter et/ou d'eviter la modificatipn de logiciels 
embarques dans une memoire programmable au sein d'un systeme 
comprenant un noyau dur contenant des fonctions de s6ourite mat§rielle 
adaptees a verifier rintegrit§ d'un noyau mou comprenant une memoire 
programmable, le systeme comportant une interface locale de donnees, 
caract6rise en ce qui! comporte au moins les etapes suivantes : 
A1 - le signal regu sur interface locale de donnees n'est pas valide, mettre 
le systeme dans un etat non operationnel, 

B1 - le signal regu sur I'interface locale de donndes est un signal de 
d§connexion, ou il n'y a pas de signal, lancer une proc^ure de demarrage 
s^curise, avec execution des fonctions de contrdle : 
Autotest du noyau dur : 

• Si rautotest est OK, alors tester rintegrit6 de la memoire 
reprogrammable, 

o Si cette integrite est OK, alors activer le systeme pour un 

fonctionnement normal 
o Si cette integrite est KO, alors mettre le systeme dans un etat 

non operationnel 

• Si rautotest est KO, alors mettre le systeme dans un etat non 
operationnel, 

C1 - le signal regu est un signal de d6marrage valide, 

• Si le systeme est dans un mode de developpement, le rendre 
operationnel, 

• Si le syst§me est dans un mode d'exploitation operationnelle et si le 
signal est un signal de test, alors desactiver au moins une des 
fonctions essentielles du fonctionnement operationnel. 
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2 - Precede permettarrt de detecter et/ou d'6viter des modifications illicites 
d'un logiciel constructeur au sein d'un systeme de type GSM, comprenant un 
noyau dur et un noyau mou, une interface locale de donnSes, comportant au 
moins ies §tapes suivantes : 

A2-\e signal regu sur I'interface locale de donn^ du tenninal n'est pas 

valide, mettre le terminal GSM dans un 6lat non cp6rationnel, 

B2 - le signal regu sur I'interface locale de donn§es est un signal de 

deconnexion, ou il n'y a pas de signal, lancer une procedure de demarrage 

securis6, avec execution des fonctions de controle : 

Autotest du noyau dur 

• Si I'autotest est OK, aiors tester I'int^grit^ du noyau mou 

• Si cette int6grit§ est OK, alors activer le terminal pour un 
fonctionnement normal, 

• Si llntSgritd est KO, alors mettre le terminal dans un §tat 
non operationnel, 

• Si I'autotest est KO, alors mettre le temiinal GSM dans un etat non 
operationnel. 

C2- le signal regu est un signal de demarrage valide : 

• Si le fusible est non claqu6, rendre le temiinal GSM operationnel, 

• Si le fusible est claqud, rendre le terminal non totalement operationnel, 
en d6sactivant au moins une des fonctions op§rationnelles du 
terminal : 

o Si le signal est un signal de type test JTAG, poursuivre la 

proc^ure de test, 
o Si le signal est un signal de test, d6man-er en mode non 

s^curise et poursuivre la procedure de test. 

3 - Precede selon I'une des revendications 1 et 2 caracterise en ce que 
r^hange des donn^ entre le noyau dur et le noyau mou est effectu§ en 
utilisant un algoritiime bas6 sur le prindpe de non-rejeu et de non 
prediclibilit6 des donn^es transmises. 
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4 - Systeme permettant de detecter el/ou d'6viter la modification de logiciels 
embarques dans une memoire programmable comprenant un noyau dur 
contenant des fonc^ons de security materielle et un noyau mou comprenant 
une m6moire programmable, une interface locale de donn^es apte k recevoir 
des signaux, caract^iis§ en ce qull comporte des moyens adaptes a : 

> mettre le syst§me dans un §tat non operationnel lorsque le signal regu 
sur I'interface locale de donnees n'est pas valide, 

> pour un signal regu de deconnexion ou une absence de signal sur 
I'interface locale de donnees, lancer une procedure de demarrage 
s6curis§, avec execution de fonctions de contrdie : 

Autotest du noyau dur : 

• Si I'autotest est OK, alors tester nnt6grit6 de la m§moire 
programmable, 

o Si cette int6grit6 est OK, alors activer le systSme pour un 

fonctionnement normal 
o Si cette Int6grite est KO, alors mettre le systeme dans un etat 

non operationnel 

• Si I'autotest est 4<0, alors mettre le systdme dans un 6tat non 
operationnel, 

> Pour un signal regu est un signal de d§man-age valide, 

• Si le systdme est dans un mode de developpement, le rendre 
operationnel, 

• SI le systeme est dans un mode d'exploitation op6rationnelle, et si le 
signal est un signal test alors dSsactiver au moins une des fonctions 
essentielles du fonctionnement operationnel au deman-age. 

5 - Systeme selon la revendication 4 caracterise en ce qu'il comporte des 
moyens de securisation des echanges de donnees entre le noyau dur et le 
noyau mou. 
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6- Syst6me selon la revendication 4 caracteiise en ce que le systeme est un 
terminal GSM. 

7 - Systeme selon la revendication 4 caracterise en ce que le systeme est un 
micro-ordinateur. 

8 - Systeme selon la revendication 4 caract6rise en ce que le systeme est un 
lecteur de type MPS contenant une memoire reprogrammable. 
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